About...

Napi betevő adag elírás, elütés és helyesírási hiba egy helyen! Amúgy meg #információbiztonság #webcserkészet néha #élettudomány

bardóczi ákos @post.r

blogavatar

minőségi kontent-egyveleg

RSS

cimketenger

ITsec (37),privacy (17),Facebook (17),social media (11),itsec (11),egyéb (11),social web (9),biztonság (8),mobil (8),OSINT (6),jog (6),magánszféra (6),tudomány (6),szellemi tulajdon (6),Google (5),email (5),molbiol (5),felzárkóztató (5),szájbarágó (5),webcserkészet (5),plágium (4),Nobel-díj (4),kriminalisztika (4),terrorizmus (4),big data (4),kultúra (4),genetika (3),pszichológia (3),molekuláris biológia (3),biztonságpolitika (3),CRISPR (3),Android (3),online marketing (3),sajtó (3),élettudomány (3),gépi tanulás (3),Onedrive (3),üzenetküldés (3),jelszó (3),2015 (3),orvosi-fiziológiai (3),Apple (3),Gmail (3),reklám (3),konferencia (3),webkettő (3),biztonságtudatosság (3),kriptográfia (3),levelezés (3),magatartástudomány (3),azelsosprint (3),popszakma (3),hype (3),open source intelligence (3),torrent (3),nyelvtechnológia (3),bejutas (2),tweak (2),villámokosság (2),cas9 (2),Yoshinori Ohsumi (2),Hacktivity (2),génterápia (2),fiziológia (2),természetes nyelvfeldolgozás (2),Reblog Sprint (2),bűnügy (2),Pécs (2),nyílt forrású információszerzés (2),webkamera (2),deep web (2),P2P (2),Netacademia (2),arcfelismerés (2),DDoS (2),Balabit (2),bűnüldözés (2),TOR (2),kulturális evolúció (2),ransomware (2),hitelesítés (2),SPF (2),Whatsapp (2),neuropszichológia (2),szabad információáramlás (2),FUD (2),DKIM (2),2-FA (2),bolyai-díj 2015 (2),molekuláris genetika (2),jövő (2),sudo (2),IDC (2),cyberbullying (2),social engineering (2),malware (2),tartalomszolgáltatás (2),meetup (2),facebook (2),reblog (2),videó (2),titkosítás (2),kutatás (2),epic fail (2),pedofília (2),netkultúra (2),nyelvtudomány (2),vírus (2),hírszerzés (2),iOS (2),farmakológia (2),szociálpszichológia (2),tanulás (2),biológia (2),gépház (2),bulvár (2),bug (2),Tinder (2),öröklődő betegség (2),Yandex (2),könyv (2),beszélgetés rögzítése (2),pszeudo-poszt (2),Twitter (2)

Hekkerek, testközelben


ITsec Hacktivity webes biztonság alkalmazásbiztonság etikus hekkelés ajánlóSzándékosan nem azt az elcsépelt kérdést adtam címként a posztnak, hogy "Hogyan legyél hekker?" vagy hasonló, több szempontból is, például azért, mert nem kevésbé jól sikerült írás született korábban a témában. Mivel én is rendszeresen megkapom ezt a kérdés, pontosabban azt, hogy hogyan érdemes elkezdeni foglalkozni informatikai biztonsággal, ezért itt vázlatosan összefoglalom az álláspontom.

Az első és legfontosabb, hogy ha van kifejezés, ami eléggé utálok, az maga a "hekker". Emlékszem, még sok-sok évvel ezelőtt a Hacktivity-n volt egy sehova sem vezető kerekasztal-beszélgetés azzal kapcsolatban, hogy valójában ki hekker, ki nem hekker, a kívülállók számára hogyan lehetne megváltoztatni a hekkerekről kialakított negatív képet, ami szerint a hekker a tudásával visszaélő, törvényeket megszegő szararc.

Véleményem szerint teljesen értelmetlen azon dolgozni, hogy a hekker kifejezést a magyar nyelvben megpróbáljuk újraértelmezni ugyanis – itt jön a lényeg – etimológiai szempontból az amerikai angol hacker kifejezésből származik ugyan, de szerinte semmi köze ahhoz, a magyar nyelvben mióta létezik, mindig is pejoratív volt. Jól jegyezzük meg: a magyar nyelvben soha az életben nem volt semmiféle pozitív jelentéstartalma a hekker kifejezésnek, egyszerűen kulturális okokból, például amiatt, ahogyan a számítógépes bűnözéssel kapcsolatos híreket interpretálta a sajtó még a 90-es években. Ez nem jó vagy rossz, egyszerűen ez van, kész. Ezzel szembemenni körülbelül olyan értelmetlen, mint kitalálni, hogy holnaptól a feketére használjuk a fehér kifejezést és fordítva. Ami már teljesen más kérdés, hogy az ebből származtatott kifejezések már természetesen nem mind pejoratívak, például az etikus hekker, amelyik fedi az eredeti angolban ethical hacker kifejezés jelentését és olyan IT biztonsági jómunkásembert jelöl, aki egy megbízásnak megfelelően, de alapvetően ugyanazokat az eszközöket használva, mint egy támadó, felméri egy-egy IT rendszer sérülékenységét.

A fogalomról tehát ennyit. De mégis, mit lehet mondani annak, aki érdeklődne az IT biztonsági témák iránt, foglalkozna vele, de nem tudja, hogy hogyan vágjon neki? Több vélemény szerint nincs igazán jó válasz, mert ha valaki eléggé involvált, kíváncsi, akkor már magától úgyis elkezdett bütykölni valamit, legyen az akár szoftver, akár hardver, akár maga az emberi magatartás, én rokon területnek tekintem a haladó keresési és információkinyerési technikák művészetét is, de lehetne még folytatni a sort.

Én ezzel a véleménnyel nem értek egyet. Lehet valaki kitűnő szoftverfejlesztő, akit érdekelne a biztonság, de nem igazán tudja, hogy hogyan fusson neki. Erre azt tudom mondani, hogy az IT security olyan, mint a programozás: nem lehet könyvből megtanulni, normálisan viszont könyv, mégpedig jó sok könyv nélkül szintén nem.

Vannak olyan etikus hekker képzést kínáló helyek Magyarországon is, amik hajmeresztő összegekért kínálnak oktatást úgy, hogy állításuk szerint az ő képzésükhöz nem szükséges előzetes programozási tudás. Mese habbal, ilyen a világon nincs! Ha nem is kell vérprofi programozónak lenni, de mindenképp legalább alapszintű, de bombabiztos programozási ismeretek szükségesek ahhoz, hogy valaki hozzá tudjon szagolni a témához, ami plusz jó, ha már adott egy bizonyos hacker mentality ez viszont kialakulhat menet közben is.

ITsec Hacktivity webes biztonság alkalmazásbiztonság etikus hekkelés ajánlóNéhány évvel ezelőtt a "hogyan kezdjem?" kérdésre még Erickson Hacking – The Art of Exploitation művét ajánlottam, ami nagyon penge módon, a szoftverek elemi működéséből kiindulva veszi sorra azokat a témákat, amiknek a megértése és megismerése után már bőven tud mit kezdeni a megszerzett tudással az érdeklődő, majd továbbhaladni.

Úgy fogalmaztam, hogy néhány évvel ezelőtt. Az előbb említett könyv az alacsony, gépi szintű műveletek ismeretére koncetrál, legalábbis abból indul ki, ezért mindenképp gyorsabban tud látványos eredményeket elérni az, aki a már sokkal inkább emberközelibb, a szkript-nyelvek világában létező biztonsági problémákkal kezd foglalkozni. Ezek pedig szorosan kapcsolódnak a webalkalmazások biztonságához. Szinte mindegy, hogy valaki a Hacking Exposed sorozat Web Applications [Scambray, Liu, Sima] egy újabb kiadását használja vagy a Stuttard-Pinto szerzőpáros The Web Application Hacker’s Handbook könyvét, mindkettő alapos áttekintést ad a webalkalmazások tipikus sebezhetőségeivel kapcsolatban.

ITsec Hacktivity webes biztonság alkalmazásbiztonság etikus hekkelés ajánlóHogy kiből lehet hekker vagy inkább nevezzük úgy: rokon területen szakértő? Bármilyen misztikusnak tűnik is, ez is ugyanúgy megtanulható, mint bármi más, csak éppenséggel érdeklődés, idő és tehetség kérdése.

Ha pedig valaki szeretne kívülállóként szeretne betekintést nyerni abba, hogy hogyan gondolkoznak, dolgoznak az etikus hekkerek, kutatók, érdemes ellátogatnia olyan szakmai rendezvényekre, mint amilyen a Hacktivity, ahol idén is két szekcióban párhuzamosan mennek majd az előadások,  szóba kerül majd többek közt a kártékony programok analízisének mikéntje, IP-kamerák hekkelése vagy éppen, hogy hogyan segíthetik az evolúciós algoritmusok a jelszavak kitalálására irányuló támadásokat. Ezen kívül két workshopban, kisebb csoportokban van lehetőség ismerkedni olyan témákkal, mint amilyen az andoridos eszközök sebezhetőségének tesztelése vagy éppenséggel a vezeték nélküli hálózatok hekkelése. Az előadásokra és a workshopokra egyaránt igaz, hogy akkor is lehet tanulni belőlük, ha a vendég nem érti minden részletében azt, amiről szó van.

0 Tovább

LOL: ál-kémek éltek vissza az Alkotmányvédelmi Hivatal nevével?


nemzetbiztonság rendvédelem titkos információgyűjtés OSINT social engineering dumpster diving magán-titkosszolgálatokÁllítólagosan az Alkotmányvédelmi Hivatal alkalmazottjai megzsaroltak egy újságírót még 2015 decemberében a 444.hu egyik eheti cikke szerint. 
Gondoltam nem írok róla azonnal, hanem előtte kicsit utánascrollolok, utánalapozok, na meg ha kell, utánakérdezek a dolognak és aztán írok róla akkor is, ha ilyen módon a hír már annyira nem aktuális. Megjegyzem, a 444.hu a magyar lapok közt a nagyon kevés magyar lap közt az egyik kedvenc, viszont ezúttal több jel is arra mutat, hogy nagyon mellényúltak illetve a sztoriban érintett újságíró is túlgondolta egy kicsit azt, ami vele történt.

Akinek nincs meg a sztori, annak összefoglalom röviden: Plankó Gergő egy bizonyos, közelebbről meg nem nevezett G-ként hivatkozott újságíróról ír, ami szerint G-t munkába menet megkeresték az Alkotmányvédelmi Hivatal alkalmazottjai, aláírattak vele egy titoktartási nyilatkozatot, elővették a magánélete érzékeny részleteit, szóba hozták, hogy az adatok nem tőlük származnak, de tudnak segíteni abban az esetben, ha segít G együttműködni az AH munkájában, persze fedve. Hogy pontosabban mi lett volna a feladat, nem derül ki. A cikk gyorsan párhuzamot is von a pártállami rendszer beszervezési gyakorlata közt. Az egész sztorival annyi a baj, hogy millió sebből vérzik, részben azért, mert a történet érintettjét legvalószínűbb, hogy alaposan megtévesztették, a 444 pedig hiába próbált meg kellő alapossággal eljárni, mégis egy sötét beszervezős sztorit sikerült sederíteni az egészből. A cikkből persze az sem derült ki, hogy kik voltak a 444 „titkosszolgálati téren jártas” forrásai. Ami pedig G-t illeti, könnyen hihette, hogy valódi nemzetbiztonsági alkalmazottak keresték meg, ha orra alá dörgöltek pár magánéleti részletet, amiről úgy gondolta, hogy arról csak hatóság tudhat.

A legvalószínűbb alternatíva, hogy a magán-titkosszolgálatok valamelyike, azaz nem hivatalos szerv találta be az érintett újságírót, úgy, hogy az Alkotmányvédelmi Hivatal alkalmazottjainak adták ki magukat. Az pedig a magyar, komolyan vehető szakirodalomból is tudható, hogy a magán-titkosszolgálatok, azaz titkosszolgálati-jellegű tevékenységet végző privát cégek pofátlanságuktól és szakszerűtlenségüktől függően alkalmazhatnak zsarolást ugyan ehhez az előbbi jellemzőkön túl egyrészt nagyon igencsak hülyének kell lenniük és nagyon nagyot kockáztatnak, ha rossz embert találnak meg.

Márpedig szinte minden jel arra utal, hogy itt ez történt.

Kezdjük ott, hogy valóban nem elképzelhetetlen olyan eset, amikor civil segítségét kéri valamelyik magyar polgári, esetleg katonai rendvédelmi szerv, viszont ilyen esetben sokkal valószínűbb, hogy a megkeresést nem közvetlenül az Alkotmányvédelmi Hivatal, hanem a Nemzetbiztonsági Szakszolgálat vagy a Szervezett Bűnözés Elleni Koordinációs Központ alkalmazottai végzik. Egész egyszerűen azért, mert kimondottan közvetlen operatív feladatról van szó, az AH tevékenysége pedig jellegénél fogva egyszerűen más.

A fedett informátor alkalmazása egyébként nem az ördögtől való dolog, viszont egyszerűen idióta az összehasonlítás a pártállami rendszerben dolgozó, kimondottan ideológiai okból pártérdeket szolgáló besúgók alkalmazásával, sajnos az eredeti után átvett cikkek is mégis azt sejtetik, hogy a kettő hasonló.

Fedett informátort rendvédelmi szerv egyébként egyre ritkábban, alapvetően akkor alkalmaz, ha már igencsak sok más lehetőséget kimerített, ami valamilyen információ megszerzésére irányul, ennek megfelelően túlzó az a megfogalmazás, hogy Magyarországon civilek bevonása gyakorlat lenne.

Mi van akkor, amikor mégis alkalmaznak? Nyilván miután megállapították, hogy ki lenne alkalmas ilyen feladatra, nagyon alapos környezettanulmányt készítenek róla, amiből eleve nem csak az derül ki, hogy milyen értékű információ lenne várható tőle, hanem ami legalább ennyire fontos, olyan karakterű figura-e, akitől egyáltalán nyugodtan kérhetnek segítséget a hatóságok, padlógázzal nyomott szakszerűtlenséggel fogalmazva „beszervezhetik”.

Ezért is totál életszerűtlen, hogy bárkit is úgy akartak volna „beszervezni”, hogy olyan dumával nyitnak az első kapcsolatfelvételkor egy újságírónál, aminek következtében megfélemlítve érzi magát, mivel azt azért általában senki sem szereti függetlenül attól, hogy a környezettanulmánya szerint milyen karakterű civilről van szó. Ahogy az is nagyon életszerűtlen, hogy ilyen-olyan titoktartási megállapodásokat írattatnak alá vele a legelején, ami szintén teljesen hülyén venné ki magát. Alapvetően a fedett ügynökök úgy dolgoznak, hogy teljesen más kapcsán lépnek kapcsolatban a civillel, megalapoznak egyfajta szükséges bizalmat és élnek a puhatolás módszerével, azaz a civil nem is fogja ismerni, hogy ténylegesen mire is kíváncsiak a fedett nyomozók. Ezt követően már a konkrét szituáció alapján következtetnek arra, hogy az illető mennyire lehet alkalmas, mint olyan civil információforrás, amelyiknek érdemes felfedni, hogy valójában melyik szervezetnek is van szüksége arra, amit tud.

Az eredeti cikk még kitér rá, hogy olyan szenzitív információkat szedtek elő az újságíró múltjából, amit csak titkos adatgyűjtésen [hogy precíz legyek, alighanem a cikk szerzője itt titkos információszerzésre gondolt] keresztül elérhető információ. Csakhogy a gyakorlatban ma már nem lehet megállapítani azt, hogy egy információhoz biztosan valamilyen hatóságon keresztül fértek hozzá vagy valakik ennél trükkösebbek voltak.

nemzetbiztonság rendvédelem titkos információgyűjtés OSINT social engineering dumpster diving magán-titkosszolgálatok

Hogy a tengernyi lehetséges forgatókönyv közül egyet említsek, ha valakit leszólít valaki öblös hangon és villant egy szépnevű szervezet által kiállított igazolványt, az illetőnek esélye nincs megállapítani, hogy az valódi vagy hamisítvány-e másrészt, ha ad absurdum az illetőnek az orra alá dörgölik valamilyen módon, hogy milyen betegségekkel kezelik vagy kezelték korábban, nem jelenti azt, hogy az biztosan a TB-nyilvántartásból származik, ezer más módon beszerezhető. A példánál maradva, orvosi titoktartás ide vagy oda, azt hiszem, hogy erős kisebbségben vannak azok az orvosok, akik például egy kollégájuk nevében érkező, jól megtervezett telefonos megkeresés alapján nem adnának ki információkat egy adott betegükről, hiszen sokkal életszerűbb, hogy egy kollégának vagy más egészségügyi dolgozónak ténylegesen szüksége legyen valamilyen betegadatra, mint az, hogy valaki így próbáljon meg információt kicsalni. De írok még prosztóbb, ugyancsak bárki által kivitelezhető és szintén igencsak hatékony technikát: az üres gyógyszeresdobozokat csak az nem dobálja egészben a kommunális hulladékba, aki nem totál paranoid. Sokszor, ha valakinek a tevékenysége indokolná az elővigyázatosságot, még akkor sincs tisztában azzal a nagyon is reális kockázattal, hogy az információszerzés egyik legértékesebb eszköze sokszor a dumpster diving, azaz kukabúvárkodás, amikor a nyomozók szabályosan az érintett kukáját túrják át rendszeresen például gyógyszertárban kiadott számlák, kidobált régi dokumentumok és hasonlók után kutatva, ennek egyébként valóságos szakirodalma van a social engineeringben. Magának a háztartási szemétnek egyébként sokkal nagyobb az információértéke, mint amilyennek tűnik, hiszen nem csak az derülhet ki belőle, hogy valakinek ilyenek a fogyasztási preferenciái, hanem az is, hogy hol szokott vásárolni, de a szükségtelenné vált dokumentumok és szolgáltatói számlák is igencsak beszédesek lehetnek. Máig több olyan telkó szolgáltató van az országban, amelyiknek a telefonos vagy emailes ügyfélszolgálata beéri a felhasználó azonosításakor annyival, ha az ügyfél megadja az ügyfélszámát, ami ott van minden szolgáltatói számlán. Ha pedig valaki idáig eljutott, az előfizetőnek kiadva magát lekérheti a szolgáltatótól a híváslistát például.

Ezen kívül a megfigyelt személy közvetlen környezetében lévők jelenthetnek még olyan információforrást, akin keresztül igencsak sok tudható meg.

nemzetbiztonság rendvédelem titkos információgyűjtés OSINT social engineering dumpster diving magán-titkosszolgálatok

 

Miután hoztam rá néhány példát, hogy nem kell itt MI6-nek lenni ahhoz, hogy valaki szinte mindent tudjon valakiről – csak idő-, energiaráfordítás és ötletesség kérdése, aminek tényleg csak az szab határt, hogy valaki meddig hajlandó elmenni, amikor valaki után kutat, vissza az eredeti sztorihoz.

A konkrét sztoriban valószínűbb, hogy egy rutinos kukabúvár cég emberei adták ki magukat AH-alkalmazottaknak, ami persze nem zárja ki, hogy ne használtak volna fel olyan érzékeny információt is, amit egy hatóságtól szereztek be illegálisan, nem nagyon van olyan, amit csak onnan lehetne és ez a lényeg.

Egyébként az ál-ügynököket – már amennyire ismerem a törvényességi hátterét a dolognak – esetleg könnyűszerrel lebuktathatta volna maga az újságíró is. Például, ha a találkozókat a Gábor Áron úti Rózsakert Bevásárlóközpontba beszéli meg, a helyszínen pedig kitalál valamilyen jól tervezett ürügyet arra, hogy ugorjanak át a szembeszomszéd NBSZ-főhadiszállásra, különben nincs biznisz. Ha ezt nem tudják megoldani egy kellően fontos civil informátor esetén, akinek a segítségét kérik, de ezt nem tudják megoldani, akkor világos, hogy ál-ügynökök voltak. Az NBSZ-t írtam példaként, de lényegében lehetne még számos más hasonló profilú intézmény épülete is.

De alighanem még ennyire se lett volna szükség: én hasonló esetben a találkozó helyszíneként fix, hogy valamilyen szépnevű hatóság épületét jelölném meg, ahonnan a megkeresés érkezik, amennyire én tudom, ennek nincs törvényes akadálya. Ez nem lenne probléma egy valódi rendvédelmi szerv alkalmazottjának, az ál-titkosszolga pedig a válasza alapján rögtön lebukna.

A 444-cikk hivatkozik még rá, hogy megkereste az Alkotmányvédelmi Hivatalt a konkrét esettel kapcsolatban, ahonnan csak egy se íze-se bűze levelet kaptak válaszként, ami olyan rejtélyes ugye, de valójában nem jelent semmit. Nincs viszont ebben semmi meglepő, olyannyira nincs, hogy ha valaki azzal keresi meg akár a Rendőrséget, akár az Ügyészséget, hogy konkrétan őellene folytatnak-e nyomozást például, szintén hasonló sablon válaszlevelet kap vissza, holott ebben az esetben az állampolgár egy általa eltartott és az ő biztonságáért dolgozó szervezetet kérdez meg mondjuk egy saját ügyével kapcsolatban.

3 Tovább

Hogyan jussunk be krémest falni hírszerzők közé?


bejutas OSINT nyílt forrású információszerzés megtévesztés magatartástudomány biztonság beléptetés konferencia pszichológiaFelderengett az, amit egy ismerősöm ismerőse mondott azzal kapcsolatban, hogy hogyan mentek be ingyen zabálni egy esküvőre középiskolás korukban. Egyrészt ismerős ismerőse volt, másrészt simán lehet, hogy kamu, a lényegen nem változtat. Ilyen nyilván csak akkor fordulhat elő, ha nincs vendéglista vagy van éppen, csak nem ellenőrzik eléggé, így annak, aki bejut és le is bukik, esetleg kevésbé kell retorzióktól tartania, konkrétan attól, hogy kidobják. A hatékony megtévesztésen alapuló bejutás kivitelezésének esélye sokkal jobb abban az esetben, ha a megtévesztő úgy gondolja, meggyőződése, hogy a másikat meg tudja téveszteni, így nem kell tartania a lebukástól vagy annak esélye csekély, ilyen módon nem jelentkeznek az olyan, izgatottságra utaló jelek, amik többek közt akkor figyelhetők meg, ha valaki a másikat meg akarja téveszteni. Paul Ekman klasszikussá vált könyvében többek közt gyakorlatilag ugyanezt írja le a hazugságok természetével kapcsolatban.

bejutas OSINT nyílt forrású információszerzés megtévesztés magatartástudomány biztonság beléptetés konferencia pszichológiaA most következő történet mutat hasonlóságokat az esküvőre való belógással, mégis többször meggondoltam, hogy megírjam-e. Nem, én nem esküvőre mentem be ingyen majszolni a krémest, hanem egy minisztériumba, ahol a vendégek jórésze a polgári- vagy katonai nemzetbiztonság alkalmazottja volt, konyhanyelven kém, hírszerző, titkosszolga. Ja és volt krémes is ebéd után, de az most annyira nem releváns.

bejutas OSINT nyílt forrású információszerzés megtévesztés magatartástudomány biztonság beléptetés konferencia pszichológiaMindegy, hogy melyik országban, melyik minisztériumban történt, ahogy az is mindegy, hogy mikor. Alighanem nem okozok meglepetést azzal, hogy elsők közt értesülök az olyan szakmai rendezvényekről, amik esetleg az érdeklődési területembe vághatnak. Figyelmes lettem egy rejtélyes rendezvényre, amiről alig volt információ egy általános meghívón kívül, amit egy automatizált keresőeszköz dobott elém. Gyakorlatilag csak az volt a neten keresztül elérhető, hogy mikor lesz és hol lesz az esemény, valamint ki a kapcsolattartó személy. A konferencia neve alapján viszont világos volt, hogy a téma erősen az érdeklődési területembe vág, tehát okosodhatok, ha oda megyek.

Telefonon felhívtam a konferencia szervezőjét azzal kapcsolatban, hogy nem találom a konferencia programját a neten, gondoltam, hogy még nem töltötték fel. Nem lett kimondva, de gyakorlatilag világossá vált, hogy a rendezvény nem nyilvános, pláne nem sajtónyilvános. Ezt követően a szervező kérdezte, hogy egyébként melyik rendvédelmi, katonai vagy nemzetbiztonsági szervtől vagyok, mire mondtam, hogy egyiktől sem, egyébként magyar az állampolgárságom és a szakmai tartalom miatt érdekelne a rendezvény. A szervező mondta, hogy hirtelen nem tud válaszolni, de dobjak rá egy emailt, aztán majd válaszol. Küldtem is neki emailt, viszont arra nem érkezett válasz, azaz nem írta, hogy nem mehetek.

Még a rendezvény előtti estéig sem érkezett válasz, így gondoltam, hogy ha már úgyis abban a városban vagyok, yolo, swag, miegymás, egyszer élünk, ugyan szinte sosem veszek fel öltönyt, felveszem a legelegánsabb hacukámat, megyek, a legrosszabb, ami történhet, hogy nem engednek be.

bejutas OSINT nyílt forrású információszerzés megtévesztés magatartástudomány biztonság beléptetés konferencia pszichológiaA hacacáré nagyobb, volt, mint hittem, konkrétan a minisztériumi épület bejárata előtti utcát lezárták a rendőrök az autós forgalom elől. Mentem, szépen beálltam a sorba, majd amikor sorra kerültem a bejáratnál, a beléptetést végző alkalmazott kérte, hogy minden fém tárgyat tegyek ki egy tálcára, majd menjek keresztül a mágneskapun. Na, ez simán ment, igazából nem volt konkrét forgatókönyvem azzal kapcsolatban, hogy a regisztrációt hogyan fogom megoldani. Miután megállapították, hogy nincs nálam dobócsillag, uzi, kézigránát, meg úgy semmi, felhívták a figyelmet rá, hogy fényképezni nem illik és jött a regisztráció. Mire gyorsan improvizáltam egy közepesen erős majdbehuggyozok-magánszámot és megkérdeztem fogcsikorgatva a regisztrációs pultnál, hogy ez ráér-e később és hogy merre találom a mosdót. Mire mondták, hogy melyik emeleten merre kell kanyarodni, én pedig már vettem is arra az irányt, azaz nem vettem át sem a badge-t, sem pedig a konferencia köszöntő csomagját, mivel a vendéglistából kiderült volna, hogy nem delegált semmilyen szervezet. Miközben sietősen bementem a mosdóba megfigyeltem, hogy a résztvevőkön milyen színű a konferenciakitűző szalagja és maga a badge. Ős bölcsesség: mindegy, hogy mennyire védett egy épület, a retyóban sosincs kamera.

A mosdóból már eleve a megfelelően megválasztott színű szalag és megfelelően megválasztott formátumú kitűzővel jöttem ki. Ekkorra már volt egy konferenciafüzetem benne a programmal. A rendezvényen egyébként nem hangzott el valami olyan őrült titkos nagy okosság, amit valamelyik könyvemből fellapozva vagy a neten célzottan keresve ne találtam volna meg, a rendezvény védelme minden bizonnyal azért volt annyira fontos, mert nagyon blama lett volna, ha valaki megzavarja. Másrészt elhangzottak olyan információk, amik nem olyan nagy titkok, viszont semmiképp sem sajtónyilvánosak.

Amit ugyancsak a helyszínen tudtam meg, hogy a vendégek majdnem mindegyike valamelyik szépnevű szerv állományába tartozik, olyan meg konkrétan egészen addig nem láttam, hogy minden sarokra jusson egy kommandós civilben – szóval olyan, mint Magyarországon a TEK-es.

Szakmai szempontból tényleg az aktuális témákon volt a hangsúly, többségében egészen jó minőségű előadásokkal. Ahhoz képest, hogy a konferenciákon a vendégek zsigerből imádnak fotózni, főleg kajával pózolni, na itt senki, még egyszer írom: senki! sem fotózott semmivel, egyedül a fotós srácnál volt fényképezőgép, na ő kattintgatott. Az ebédnél ülésrend nem volt, miután összekanalaztam magamnak a svédasztalnál a legmagyarosabb kombót, leültem a kör alakú asztalok egyikéhez. Jó étvágyat kívántam, mire az ott beszélgető fejesek látványosan azonnal elhallgattak, szóval nem is tudom, hogy mi lehetett a téma. Ez viszont már amennyire tudható eléggé általános gyakorlat – akár érzékeny témáról van szó, akár olyan hangzik el, amiből érzékeny információt lehetne kimozaikozni, nyilván nem beszélnek róla, ha valaki ismeretlenül ül le a közelben. Aztán megtörve a néhány másodperc kínos csendet belecsaptam a lecsóba és megkérdeztem, hogy szerintük milyen szervezetek foglalkoznak az információbiztonság magatartástudományi vonatkozásaival, amivel kapcsolatban van elérhető publikáció is. Ezt vagy nem akarták megmondani, de valószínűbb, hogy ők sem tudták. Mire kérdeztem, hogy egyébként mi a különbség a két különböző színű szalag közt, ami a vendégeken van. Erre, mintha a világ legtermészetesebb dolga lenne, mondták, hogy az egyiket a polgári-, a másikat pedig a katonai titkosszolgálatoktól érkező vendégek kapják. Király!

Az előadások párhuzamos szekciókban folytak, a programfüzetben pedig volt egy olyan szekció, ahova csak azok mehettek be, akik megfelelő tanúsítvánnyal rendelkeztek. Az übertitkos előadások bejárata előtt újra ellenőrizték a vendégeket, majd kaptak egy sorszámot, ismét átmentek egy mágneskapun, a mobiljukat le kellett adniuk egy zacskóba, a megfelelő sorszámmal, amit kifelé jövet kaptak vissza, nyilván azért, hogy ott aztán már tényleg eszébe ne jusson senkinek fotózni. Persze ha valaki nagyon akart volna, úgyis tudott volna, még nekem is van olyan golyóstollam, ami elvben HD minőségben rögzít akár videót is, az egy dolog, hogy ilyen bárki vehet az Amazonon, esetleg ha valaki ilyennel próbálkozik olyan helyen, ahol tényleg tilos a fotózás, kiszúrhatják a dolgot.

bejutas OSINT nyílt forrású információszerzés megtévesztés magatartástudomány biztonság beléptetés konferencia pszichológia

ilyesmit láttam már

Miután láttam, hogy eléggé kérlelhetetlenek a titokzatos szekció termét védő arcok, ezért nem kockáztattam meg, hogy oda is megpróbáljak bemenni, aztán a vendéglistán ellenőrizzenek, mert ha lebukok, fix, hogy az lett volna a vége, hogy kidobnak. Ami viszont jópofa volt a dologban, hogy az adott teremnek volt egy olyan karzata, ahova a feljutást senki, és semmi sem akadályozta, már ha nem számítjuk azt a mozdítható kordont, amire eléggé világosan rá volt írva, hogy idegeneknek belépni tilos. Remek kérdés, hogy zárt szekción miről lehetett szó, mert a fotós srác mondta, hogy sajnos oda őt sem engedték be, akiket pedig igen, azt mondták, hogy nem érezték különösebben titkosnak azokat a dolgokat, amik elhangzottak ott, a szekció programjában feltüntetett előadások címéből pedig nem derült ki sok.

Ha már mégiscsak egy konferenciáról van szó, legyen benne networking! A rendezvényen mondta a fotós csávó, hogy igazából csak a Facebookon van fenn, mondtam neki, hogy ha érdekli az, amivel foglalkozom, nyugodtan írjon rám, én meg írok neki, hátha kapok olyan képet tőle, amin előnyösen nézek ki. Erre mi történt? Alighanem nem értettem jól a srác nevét, de nem találtam meg! Olyan egyébként simán előfordulhat, hogy valaki a neve alapján nem lesz meg a Facebookon egyszerűen azért, mert úgy állította be, a kapcsolatfelvételt az Ismerősök ismerőseire korlátozta és beállította, hogy a neve alapján ne legyen kereshető ennél nagyobb kör számára. Viszont vegyük észre, hogy ez általában semmi sem jelent, tudva, hogy a Facebookon két véletlenszerűen választott felhasználó átlagosan kevesebb, mint 3,5 ismerősnyi avagy „kézfogásnyi” távolságban van egymástól, ami egy adott államon vagy kontinensen belül nyilván kisebb. A bűvös három és feles értéknek ráadásul bizonyára kicsi a szórása [azaz nagyon ritka az olyan felhasználó, akinél ez az érték jelentősen több vagy kevesebb lenne, nekem 155 ismerős mellett is 3,49], külön érdekessége a dolognak, hogy mindenki megnézheti, hogy a Facebook egy másik, véletlenszerűen választott felhasználójától milyen távolságban van, ezen a linken

Lényeg, hogy mivel nekem kevés ismerősöm van, robotot meg nem vetettem be, a csávót máig nem találtam meg.

Összességében egy nagyon tartalmas, érdekes konferencia volt, még az is lehet, hogy a következőre is megpróbálom behakkolni magam.

Mindegy, hogy esküvőről vagy kémbuliról van szó, a vendégek regisztrációjakor alighanem kevesen lennének olyan szőrös szivűek a rendezvény lebonyolítói, hogy nem engedik tovább a vendéget, ha fogcsikorgatva a vécéről érdeklődik és arra következtetnek, hogy ha becheckolt az előző kapun, akkor már csak personne autorisée lehet.

Összességében a bejutásnál számos szituációban jelentősége van olyan általános kulturális, nyelvi, gesztusbeli tényezőknek is, amikre nem is gondolnánk ilyen vonatkozásban, viszont éppen ezeken keresztül hagyják magukat megtéveszteni azok, akik az ellenőrzést végzik.

Persze reptereken alighanem valaki hiába imitálna fosórohamot vagy éppen lökne bennfentes szlenget, amivel azt a benyomást kelti, hogy ott dolgozik, a szabályos beléptetés tervezési sajátosságaiból adódóan ez nem menne személyi igazolvány és beszállókártya nélkül. Ahogyan nem működne például egy szórakozóhelyen sem, hiszen ott a személyzet tagjai arcról ismerik egymást.

Viszont vegyük észre, hogy kritikus helyeken a beléptetést olyan módon tervezik meg, amik meggátolják azt, hogy valaki emberi tényezőket kihasználva be tudjon lépni olyan helyre, ahova egyébként nem lenne jogosult. Lényegében ezeknek a házirendeknek a meglétét ellenőrzik egy-egy audit során az auditorok is.

2 Tovább

Pisztollyal, fegyveres őrök által védett helyre, véletlenül


Ha már ezerrel pörög a #bejutási pam-pam, gondoltam írok röviden arról, hogy én hogyan mentem be egyszer egy védett intézménybe pisztollyal, igaz, gázpisztollyal, full véletlenül, úgy, hogy a mágneskapu is jelzett, ráadásul a táskámból még ki is kellett szedni, ami benne volt, de még akkor sem vettem észre.

bejutas epic fail egyéb mágneskapu fémdetektor biztonság helyettAz eléggé világos, hogy reptereken, szerverhotelekben, bíróságokon, na meg hasonló helyeken nem örülnek annyira neki, ha valaki felfegyverkezve érkezik, ami érthető is.

Még évekkel ezelőtt, ha jól emlékszem az egyik Bolyai-díj átadásra siettem, kicsit késve, ahol akkor még többek közt Köztársasági Őrezred védte a rendezvényt, ennek megfelelően mindenkit mágneskapun tereltek keresztül, ha pedig a vendég minden fémtárgyat kipakolt a tálcára, anélkül ment át a kapun, de még mindig besípolt, akkor nézték meg a kézi detektorral, hogy mi lehet a riasztás oka. Egyrészt késésben voltam, teljesen új volt számomra a biztonsági ellenőrzések világa, ráadásul kisegyetemistaként anno még minden zsebembe volt valami fém bizbasz, számológép, tollak, kulcs, mobil, tartalékmobil, miegymás. A sietség, na meg a szokatlan helyzet miatt annyira zavarban voltam, hogy vagy háromszor küldtek keresztül a mágneskapun, mire kiderült, hogy a riasztást egy számológép gombeleme okozta, amit annyira nem volt egyszerű megtalálni, amibe alaposan bejátszott, hogy nem kicsit izgultam az első ilyen szituációban. A biztonsági kamera felvételéből alighanem seperc alatt lehetett volna Benny Hillbe illő jelenetet forgatni.

Jónéhány évvel később nem egy rendezvényre, hanem egy védett közintézménybe kellett mennem, ahol szintén volt mágneskapu, ezen kívül egy csomagokat átvilágító röntgen is, amivel az érkezők táskáját világították át. Ekkora persze már jónéhány mágneskapun átmentem életemben, szóval a legnagyobb természetességgel ballagtam keresztül és tettem a táskámat abba a kosárba, ami keresztül ment a röntgen előtti szalagon. A táskámra besípol a masina, mire mondta a biztonsági őr, hogy úgy látja, hogy nagy pengéjű kés van a táskámban. Nagyot néztem, mondtam is, hogy kizárt dolog, majd kinyitottam a táskámat és kiderült, a táskámban lévő, alumínium borítású  gyógyszereket voltak benne, legalább 3-4 levél, így azokat valóban nagy pengéjű késnek lehetett nézni a monitoron. Miután végeztem, a legnagyobb természetességgel mentem kifelé, ahol már nem világítottak át. Aztán otthon, este esett le, hogy számomra megmagyarázhatatlan okból a táskámban maradt egy gázstukker, amit amúgy az életbe nem használtam, talán csak egy alkalommal, amikor kipróbáltam vaktölténnyel, hogy működik-e. Faja! De hogyhogy nem vette észre az őr? Úgy, hogy a kisméretű gázpisztoly a táskám egyik belső zsebében volt, mivel benne felejtettem, így még amikor a táskám tartalmát mutattam akkor sem vette észre, hiszen eszembe sem jutott a belső zsebet kinyitni, viszont az alumínium borítással forgalomba hozott gyógyszerlevelek körülbelül 45 fokba elfordulva pont kiárnyékolták akkor, amikor a röntgengépen keresztül ment a batyum. Ha akkor lebukok, lehetett volna magyarázkodni, hogy miért akarnék gyakorlatilag felfegyverkezve menni olyan helyre, ahova finoman fogalmazva nem ildomos.

Nem tudom, hogy melyik volt életem legbravúrosabb bejutása, de ez azért eléggé adta az ívet. Megjegyzem, teljesen idióta dolog gázpisztolyt hurcolászni, mivel ha valami szaki ki akar nyírni, az ellen aligha véd, ugyanakkor ellenőriztetni és engedélyeztetni is kell abban az esetben, ha valaki nem csak megvásárolta, de hordaná is azt. Ezzel szemben különféle önvédelmi technikák nem is igényelnek túl sok gyakorlást, ezen kívül a gázsprayhez nincs is szükség engedélyre, ugyan a reptéren a gázpisztolyhoz hasonlóan azt is külön táskában lehet csak szállítani, különálló poggyászként, na meg nem jelent körülbelül fél kiló többletterhet sem.

bejutas epic fail egyéb mágneskapu fémdetektor biztonság helyett

Hogyan fordulhatott elő mégis ilyen? Az őr kimondottan késre hivatkozott, ennek megfelelően én amikor megláttam a gyógyszert a táskámban, onnantól kezdve eszembe sem jutott, hogy más fém is lehet a táskában, ami fegyvernek látszódhat. Hiába, az ember tudat már csak ilyen.

bejutas epic fail egyéb mágneskapu fémdetektor biztonság helyett

Szolgálati közlemény: nyáron is képes voltam durván behavazódni, de ennél már csak tematikusabb téma lesz a blogon hamarosan, big data, keresés, vattacukor-törökméz. A sablonnal meg nem tudom, hogy mi a jó ég van, hogy hirtelen minden középre igazítódott, de kellően ki vagyok merülve ahhoz, hogy most ne nézzem meg.

0 Tovább

Információbiztonság és az írástudók felelőssége


ITsec kulturális evolúció média sajtó tömegtájékoztatás Adecco IT Academy biztonságtudatosság FUD fear uncertainty and doubtViszonylag gyakran szokták mondani, hogy a tömegtájékoztatás feladata a minél pontosabb, gyorsabb és hiteles tájékoztatás, azaz egy-egy hír közzétételének esetleges következményei miatt már nem vonható felelősségre a hír előállítója. Személyes véleményem, hogy ez még akkor sem állná meg a helyét bizonyos esetekben, ha egy hírt teljesen objektíven közölnének.

1992. áprilisában Los Angelesben négy rendőr igazoltatott gyorshajtás miatt egy fekete sofőrt, aki ellenszegülni próbált a közúti ellenőrzés során, mire a négy – nem mellékesen fehér illetve hispán – rendőr alaposan helybenhagyta, amiről videófelvétel készült, majd megjelent a helyi televízióban. Ezt követően nem sokkal elszabadult a városban a pokol: szinte példátlan lázadás tört ki a városban, a keletkezett kárt egymilliárd dollárra becsülik, több, mint ötven fő életét vesztette, a rend helyreállításához többek közt a nemzeti gárdát kellett segítségül hívni. Ami külön érdekesség, hogy a példásan liberális amerikai sajtó történetében szinte példátlan módon bírósági végzés született azzal kapcsolatban, hogy a felvételt tilos a továbbiakban bárhol is közzétenni, persze már késő volt.


A sok-sok tanulság közül amit mindenképp kiemelnék, hogy a tömegtájékoztatásnak egészében igenis van felelőssége, másrészt akár egy-egy hír esetén is mérlegelni kell, hogy annak közzététele nem sért-e olyan mértékben közérdeket vagy társadalmi érdeket, hogy az már masszívan szembe megy azzal a társadalmi érdekkel, amit a sajtó hivatott szolgálni.

Bizonyos területeken a teljes sajtóhoz viszonyítva szokatlanul gyakran találkozni olyan információval, aminek az idő előtt történő közzététele súlyos érdeksérelemmel járna. Ez az oka annak, hogy ha a tesztelők, külső etikus hekkerek például a pénzintézeti adatbázisok de facto standardjának tekintett Oracle motorban találnak valamilyen sebezhetőséget egy adott bank esetén, akkor ennek a részleteit csak azt követően teszik közzé, miután az érintett bankot tájékoztatták és a hibát kijavították. A kutatók véleménye megoszlik azzal kapcsolatban, hogy melyik a legjobb reporting gyakorlat, az ún. partial disclosure, azaz amikor csak érzékeltetik egy-egy érintettel, hogy a rendszerében hiba van vagy esetleg a full disclosure, amikor a hibát teljes egészében, minden részletével együtt közzéteszik, így kényszerítve például az érintett pénzintézetet, hogy a hibát azonnal javítsa. Az utóbbi nyilván az a kockázatot hordozza magában, hogy a hibát kihasználhatja egy támadó még az előtt, mielőtt a szóban forgó hibát javítani tudnák.

Nemrég vettem részt egy kicsi, ámde kiváló szakmai rendezvényen, ahol az ország egyik legelismertebb etikus hekkere beszélt a Sony Entertainment elleni támadásról. A Sony elleni támadást a fősodrú média, ahogyan ez lenni szokott, úgy mutatta be, mintha egy igencsak kifinomult, nagy szakértelmet igénylő, nehezen kivédhető támadásról lett volna szó. A látványos breach-ekről olvasva rendszerint az olvasókban az a benyomás alakul ki, hogy itt aztán tényleg egy komoly technikai bravúrt hajtottak végre valamiféle guru csúcshekkerek.

És ez baj. Komoly baj.

Kisebb részben azért, az olvasókban torz benyomást alakítanak ki az információbiztonsággal foglalkozó közösséggel kapcsolatban, ha a prosztó módon, amatőr módszereket használó támadókat úgy kezeli a mainstream sajtó, mintha tényleg hekker guruk lennének. Egyrészt ez sérti azok önérzetét, aki tényleg értenek hozzá, másrészt a tömegekben össze fog kapcsolódni az információbiztonsággal kapcsolatos tevékenység a számítógépes bűnözéssel. Egyszerűbben fogalmazva: simán elképzelhető, hogy egy laza, de személyes ismerősömnek hozzáférnek valamilyen netes fiókjához, aztán azt fogja gondolni, hogy biztosan én voltam úgy szórakozásból, csak azért mert úgy gondolja, hogy én képes lehetek rá.

Mi a másik súlyos következménye annak, ha a hírekben megjelenő támadásokkal és támadókkal kapcsolatban téves kép él az emberek fejében? Ahogy a meetup előadója nagyon frappánsan megfogalmazta, egyfajta nihilisata hozzáállás felé sodorja a felhasználókat. Azaz aszerint a séma szerint fognak gondolkozni, hogy fölösleges odafigyelni az információbiztonságra, hiszen "úgyis van valaki", aki fel tudja törni a hozzáféréseit, ha nagyon akarja. Ennek a nihilista hozzáállásnak lehet következménye vagy ha úgy tetszik tünete, hogy manapság a gépek közel felén semmilyen antivírus szoftver nincs telepítve. De alighanem a jelenség része az is, hogy a végfelhasználók nem titkosítják az adataikat, holott ez mindössze néhány kattintás lenne már a Windows XP elterjedése óta, illetve már közhely emlegetni, hogy gyenge jelszavakat használnak, ráadásul több helyen azonosat. Korábban már részletesen taglaltam, hogy miért nem mondhatja senki azt a mai világban, hogy "az én adataimra senki sem kíváncsi".

Visszatérve az előadásra, a Sony elleni támadást valószínűleg nem az Észak-koreai kormány követte el, de ha már hírbe hozták őket, nyilván nem mondták azt, hogy nem ők voltak. Gondoljunk csak bele, ha történne egy olyan kísérleti atomrobbantás, amire felfigyel a fél világ, de csak hírbe hoznák Észak-Koreával, az fix, hogy nem tiltakozna kézzel-lábbal a diktatúra jóllakott napközis hülyegyereke Kim Jong Un személyében azzal, hogy nem ő voltak.

A Sony elleni támadás kivizsgálása során kiderült, hogy a cég éveken keresztül tömegesen kapott teljesen közönséges adathalász leveleket, így csak idő kérdése volt, hogy minél több alkalmazott hozzáférését tudják elhappolni. Ezen kívül természetesen a kutatók visszafejtették azoknak a kémprogramoknak a kódját, amiknek szerepet tulajdonítottak az adatlopásban, abból pedig kiderült, hogy ha nem is egy kontármunkáról van szó, több jel is arra utal, hogy a támadók igencsak béna módon hagytak nyomokat maguk után.

ITsec kulturális evolúció média sajtó tömegtájékoztatás Adecco IT Academy biztonságtudatosság FUD fear uncertainty and doubtNem merülnék technikai részletekbe, de lényeg, hogy a klasszikus vírusokat, rootkiteket, spyware-eket, a professzionális támadók úgy írják meg, hogy azok visszafejtése után ne lehessen következtetni a kilétükre illetve arra sem, hogy a rosszindulatú program milyen korábbi kártékony kód továbbfejlesztése lehet. Erre példa az első valódi informatikai fegyvernek tekintett, urándúsító üzembe bejuttatott Stuxnet és az abból származtatott, később azonosított csúcskártevők, amiknél nemcsak arra nem lehet következtetni, hogy melyik állam állhatott a létrehozásának hátterében, de sokszor még olyan részleteket is elhelyeznek ezekben a malware-ekben, amik megpróbálják félrevezetni a kutatókat!

Ehhez képest a bénább kártevők írói egy halom olyan jellegzetességet hagynak a kártevőjükben a programozásuk során, ami később könnyebben azonosíthatóvá teszi őket.

Az is szóba kerül, hogy az olyan rémes buzzwordök, mint a "nulladik napi sebezhetőség", vagy "szofisztikált támadás" eleve gyanakvásra adnak okot a figyelmes olvasókban.

Hatalmas hiba lenne figyelmen kívül hagyni, hogy a média mellett az IT biztonság is egyre meghatározóbb biznisz, így az bizonyos informatikai biztonsági megoldásokat kínáló cégek jórésze ki is fogja a szelet a vitorlából és a kommunikációjukat szándékosan úgy alakítják, hogy azzal maximalizálják a bevételüket azon keresztül, hogy eladnak olyan terméket is az ügyfeleiknek, amikre valójában nem is lenne szükségük vagy éppenséggel nem olyan módon. Nem is tudom már, hogy hol olvastam, de hatalmas igazság, hogy nem a biztonságot szavatoló technológiai megoldást kell eladni, hanem a biztonság érzetét. Ami nyilván sokkal könnyebb, ha bizonyos szintű félelemérzetet keltenek az ügyfelekben.

ITsec kulturális evolúció média sajtó tömegtájékoztatás Adecco IT Academy biztonságtudatosság FUD fear uncertainty and doubt

Ebben pedig a fősodrú média nagyon gyakran akaratlanul és tudattalanul partner, mi több, a jelenségnek már réges-régen neve is van: FUD, azaz fear, uncertainty, doubt.  

A FUD mögött gyakran könnyen felfedhető az üzleti érdek, ha magyar példát kell hoznom, alighanem nagyon sokan emlékeznek rá, amikor a szolgáltatók a mobiltelefonálás hőskorában azt állították, hogy a mobil függetlenítése olyan bűncselekmény, amiért börtön jár, holott, nem több, mint egy polgárjogi szerződésszegés a telkószolgáltató és az ügyfél közt, de ilyen miatt még az életbe nem indult per az országban. Az már más műfaj, amikor valaki tömegesen és pénzért halomra függetlenítette a mobilokat. Amikor a szolgáltatók látták, hogy ezzel nem lehet gátolni a folyamatot, később azt hangoztatták, hogy a függetlenítés károsítja a mobilt, ami a régi mobilok esetén szintén nem volt igaz.

De ha FUD-ról van szó, a legkomolyabb, leginkább autentikusnak nevezhető cégek is nyilatkoztak már olyan módon, hogy amögött az üzleti érdekek eléggé világon kivehetőek voltak. Például az Apple nem kevesebbet állított néhány évvel ezelőtt, mint hogy a jailbreakelt mobilok kinyírhatják a mobil adótornyokat, míg hivatalosan egy szó sem esett sokáig a jailbreakeléssel járó valós kockázatokról.

ITsec kulturális evolúció média sajtó tömegtájékoztatás Adecco IT Academy biztonságtudatosság FUD fear uncertainty and doubtÁtverések és visszaélések persze a net előtt is léteznek, – kultúrafüggően ugyan – sokszor addig nem szorultak vissza, amíg valaki a saját bőrén nem tapasztalta meg azt a kárt, amit azzal szenvedett el, hogy átverték olyan esetben, amikor tevőlegesen ő maga tette mindezt lehetővé. Az már látszik, hogy a netes közegben teljesen hasonló a helyzet, a kérdés csak az, hogy szervezeti szinten milyen módszerek lehetnek a leghatékonyabbak arra, hogy mintegy immunizáljuk az alkalmazottakat a tipikus átverésekkel szemben.

A social engineering élt, él és élni fog… A rendezvény végén több gondolatindító kérdés is felmerült azzal kapcsolatban, hogy a gyakori, nagy kockázattal járó és emberi gondatlanságból adódó incidenseket hogyan lehetne megelőzni figyelembe véve azt, hogy a céges hálózatokba érkező kártevők több, mint fele email csatolmányként érkezik, amit egyszerűen csak nem kellene megnyitni, nem is beszélve a klasszikus adathalász levelekről, amit egyre inkább személyre szabottan próbálnak eljuttatni egy-egy címzettnek. Ismétcsak úgy tűnik, hogy a technikai fejlődéssel és benne lévő kockázatokkal egyszerűen nem tudott lépést tartani kultúránk, nem tartom kizártnak, hogy ezt lényegesen siettetni nem is lehet. Azaz a technikai evolúciót utolérni sincs esélye a kulturális evolúciónak, ugyan előremutatónak tűnnek azok az ötletek, mint például az, hogy a biztonságtudatosságra egészen a kezdetektől kellene szocializálni mindenkit kisiskolás kortól.

Ha visszaélésekről van szó, világos, hogy mik nem jelentenek megoldást. Például a Magyarországon ezerszer módosított, információs önrendelkezésről szóló törvény a netes közeg vonatkozásában annyit nem ér, mint amennyi a papír, amire valaha is kinyomtatták: még évekkel ezelőtt a jól ismert fikaoldalak a jog betűjére teljesen fittyet hányva hordták fel a felhasználók közösségi webes szolgáltatásból származó fasztortás, bepiálós vagy más módon kínos fotóikat, a törvénynek semmiféle visszatartó ereje nem volt. Viszont eléggé világosan látszik, hogy a náluk néhány évvel fiatalabb és rugalmasabb, most 14-22 éves generáció már jóval elővigyázatosabb azzal kapcsolatban, hogy mit tesz közzé a neten, ha a nagy átlagot nézzük. Azaz a technológiai kockázat és az internet természete maga szankcionálta a felhasználót a saját hülyesége miatt, aminek a hatása néhány év alatt érezhető lett.

Egy munkahelyek ugyanakkor nem tűnik túl életszerű megoldásnak az, hogy a fertőző hivatkozásokra kattintó vagy Google Docs-ban érzékeny adatokat feltalicskázó alkalmazott felkerüljön mondjuk egy hülyetáblára és más szankcionálási formák is vélhetően inkább a szervezeten belüli feszültséget növelnék, mint a biztonságtudatosságot, éves, évtizedes beidegződések nem változtathatóak meg csak úgy.

ITsec kulturális evolúció média sajtó tömegtájékoztatás Adecco IT Academy biztonságtudatosság FUD fear uncertainty and doubtAz Adecco IT Academyben különösen az tetszett, hogy különböző területről érkezett szakértők, érdeklődők oszthatták meg a tapasztalataikat, aminek hatalmas előnye, hogy ekkor olyan új következtetésekre juthat az érdeklődő, amire egy szűkebb körnek szóló szakmai rendezvényen alighanem kevésbé.

0 Tovább
«
1234